PoC: WP2Shell — CVE-2026-63030 & CVE-2026-60137

📌 概要 (Overview)

WP2Shell は WordPress Core のソースコードにおける重大な脆弱性チェーン（Exploit Chain）であり、リモートからの**認証不要攻撃者（Unauthenticated Remote Attacker）**によるサーバー完全掌握（Full Server Takeover / RCE）を可能にします。

このエクスプロイトチェーンは、以下の2つのセキュリティ脆弱性を組み合わせたものです：

1. CVE-2026-63030 (REST API Batch Route Confusion): WordPress REST API のバッチハンドラーにおけるエンドポイント解決の競合により、あるルートで認証されたリクエストが別のルートで実行され、アクセス権限の検証メカニズム（Authentication / Route Validation Bypass）を回避されます。
2. CVE-2026-60137 (WP_Query における SQL Injection): WP_Query の author__not_in パラメータに対する入力サニタイズ（Sanitization）処理の欠如により、SQL インジェクションが発生します。

これら2つの脆弱性を連鎖させることで、攻撃者は特別に細工した HTTP リクエストを /wp-json/batch/v1 に送信し、認証メカニズムを回避して SQLi を誘発し、権限昇格、シェルの作成、リモートからの任意コード実行（RCE）を達成できます。

📊 脆弱性情報 (Vulnerability Details)

🎬 PoC デモビデオ (PoC Video)

実際の再現・エクスプロイトの全プロセスを記録したビデオは Google Drive に保存されています：

🔗 PoC ビデオの視聴 / ダウンロードリンク: Google Drive - WP2Shell PoC デモビデオ

📖 詳細な技術分析資料 (Detailed Writeup)

技術分析の全フロー、PoC のステップバイステップの再現手順、およびソースコードの解説は Notion に保存されています：

🔗 Notion 記事リンク: WP2Shell CVE PoC フロー (Notion Writeup)

⚙️ エクスプロイトチェーン図 (Exploitation Flow)

flowchart TD
    A["[Attacker] Unauthenticated Remote Request"] --> B["REST API Batch Endpoint (/wp-json/batch/v1)"]
    B --> C["CVE-2026-63030: Batch Route Confusion\n(Bypass Route Validation & Access Control)"]
    C --> D["CVE-2026-60137: SQL Injection\n(Unsanitized 'author__not_in' in WP_Query)"]
    D --> E["Database Manipulation / Privilege Escalation\n(Admin session / User creation)"]
    E --> F["Web Shell Upload / Execution"]
    F --> G["💥 Full Server Takeover (RCE)"]

🛡️ 緩和策と予防策 (Mitigation)

1. 直ちに更新する: WordPress Core を安全なバージョンにアップグレードしてください：
   • 6.8.x 系: WordPress 6.8.6 に更新
   • 6.9.x 系: WordPress 6.9.5 に更新
   • 7.0.x 系: WordPress 7.0.2 に更新
2. WAF / Web サーバーの設定:
   • 直ちに更新できない場合は、認証されていないユーザーからの /wp-json/batch/v1 エンドポイントへのリクエストを一時的にブロックするか、厳重に制御してください。
3. サーバーのフォレンジック調査:
   • Web サーバーのログを確認し、/wp-json/batch/v1 への異常なリクエストを検索してください。
   • wp-content/uploads/ および wp-content/plugins/ ディレクトリをスキャンし、Web シェルや不審なファイルを検出してください。

⚠️ 免責事項 (Disclaimer)

[!WARNING] この資料および PoC ソースコードは、セキュリティ研究、教育、システム防御の目的のみに提供されます。 著者は、本リポジトリの情報やツールを、合法的な権限を持たないシステムへの攻撃に不正使用した場合、一切の責任を負いません。